IT-Sicherheit für Energie- Infrastrukturen

Transkript

1 IT-Sicherheit für Energie- Infrastrukturen mit der Next-Generation-Firewall von gateprotect aus Deutschland Cybersecurity

2 Durch das Fehlen von Sicherheitsmechanismen sowohl auf Applikationsebene als auch auf Ebene der Sicherungsschicht sind die herkömmlichen SCADA- Systeme Cyber-Attacken schutzlos ausgeliefert. Pidikiti et al, CIS Publications, April

3 IT-Sicherheitsgesetz zum Schutz kritischer Infrastrukturen Schwachpunkte in generischen Firewalls Wie viele andere Stromlieferanten in Deutschland auch, haben sich die Stadtwerke Baden-Baden auf eine neue Gesetzgebung für IT-Sicherheit in Deutschland vorbereitet. Seit dem ist das Gesetz in Kraft, das regelt, wie die kritischen Infrastrukturen der Energieversorgung vor Cyber-Angriffen geschützt werden sollen. Man geht davon aus, dass die Einhaltung und Zertifizierung von Prozessen und Schutzvorkehrungen nach ISO-Standards ein zentraler Bestandteil des gesetzlichen Rahmens sein werden. Die Stadtwerke Baden-Baden haben sich bereits im Vorfeld auf die neuen Regelungen eingestellt und gemeinsam mit gateprotect ein Sicherheitskonzept erstellt, das effektiven Netzwerkschutz und verlässliche Datensicherheit bietet, um die Einhaltung der ISO-Normen sicherzustellen. Im Rahmen dieser Vorbereitung haben die IT-Manager der Stadtwerke Baden-Baden eine umfangreiche Reihe von Penetrationstests in Auftrag gegeben. Sie fanden heraus, dass die vorhandenen Firewalls, Intrusion- Prevention- und Antivirus-Systeme für den Schutz der speziellen, für den Betrieb der Energienetzwerke notwendigen Systeme und Protokolle unwirksam waren. Dies betraf auch ein SCADA-Fernzugriffsprotokoll, welches international als IEC 104* bekannt ist. * IEC Protokoll Tatsächlich gaben einige der ermittelten Bereiche Anlass zur Besorgnis. Potentiell gefährliche Sicherheitslücken entstanden u.a. durch die sehr geringe Performance bei Systemen wie Antivirus, Web-Filtering und Intrusion-Prevention. Das Performance-Problem war bei einigen Systemen so gravierend, dass teilweise Schutzfunktionen deaktiviert worden waren, um die Leistung des Netzwerkes zu verbessern. Unser Problem war, dass einige der vorhandenen Lösungen zwar gut geeignet für die ursprünglich beabsichtigten Zwecke waren, aber nicht dafür entwickelt worden sind, kritische Infrastrukturen wie z.b. Energieerzeugungs- und -steuerungsnetzwerke zu schützen, sagt Daniel Müller, Gruppenleiter Abt. Informationstechnik, Stadtwerke Baden-Baden. Unsere Tests enthüllten mehrere potentielle Schwachpunkte, um die wir uns kümmern mussten, um sicherzustellen, dass unsere Netzwerke vor externen Bedrohungen vollständig geschützt sind. Nach umfangreichen Recherchen haben wir bei gateprotect eine optimale Lösung gefunden. Insbesondere für die mehrstufige Absicherung der Netzsegmente vom Büro-LAN zum Netzwerk der Leittechnik bietet gateprotect einen enormen Schutzmechanismus ergänzt Franz Schaub, IT-Leiter der Stadtwerke Baden-Baden. Rohde & Schwarz Cybersecurity IT-Sicherheit für Energie-Infrastrukturen 3

4 Empfehlung einer einzigartigen Lösung speziell für den Schutz kritischer Infrastrukturen Die Systemarchitekten von gateprotect untersuchten das IT-System sorgfältig, um ein Verständnis der bestehenden Sicherheitsprobleme und -engpässe zu entwickeln, und empfahlen dann eine neuartige Lösung, welche auf den einzigartigen Features der gateprotect Next-Generation-Firewall Network Protector+ basierte: Während die vorhandenen Firewall-Systeme an ihrem Platz belassen wurden, installierte man eine zweite Verteidigungslinie, die speziell dafür ausgelegt war, Energie-Infrastrukturen zu schützen. Diese zweite Verteidigungslinie innerhalb der Firewall fängt alle verbleibenden Bedrohungen ab, bevor sie Zugriff auf das Fernsteuerungsnetzwerk erlangen können. Die Lösung besteht aus der neuesten Version des Network Protector+ von gateprotect, ergänzt um spezielle Features für IEC 104. Diese sind eigens dafür entwickelt, kritische Infrastrukturen und Energieerzeugungsanlagen zu schützen. Der große Vorteil des Konzeptes mit dem Network Protector+ liegt darin, dass über eine der weltweit schnellsten Single-Pass-Engines Datenströme von und zu Leitrechnern der Fernwirkstationen feingranular untersucht werden können. Über die Full-Positive-Validation werden dann ausschließlich für gut befundene Daten und Befehle akzeptiert und weitergegeben. Andreas Schmid, IT-Sicherheitsexperte bei Rohde & Schwarz gateprotect. Multi-Layer-Sicherheitskonzept Prozessnetz z.b. Steuerung und Management Internet Router Paketfilter gateprotect NP Büronetz(e) 4

5 Einzigartige, hochentwickelte Features nur verfügbar mit gateprotect Network Protector+ Der gateprotect Network Protector+ beinhaltet einige hochentwickelte Funktionen, die gegenwärtig bei keiner anderen Firewall auf dem Markt erhältlich sind. Nur der Network Protector+ kann derzeit das in der Energiebranche üblicherweise genutzte IEC Protokoll erkennen und decodieren. Damit können Netzwerk- Administratoren einzelne Funktionen in Abhängigkeit von der Quelle und dem Ziel freigeben oder sperren. Sie können den Datenstrom analysieren und die Intention hinter der Kommunikation zwischen Fernwirkstellen und Leitrechnern erkennen, anstatt sich nur auf Pattern zu verlassen, die schädliche Inhalte womöglich nicht erkennen können. Der Network Protector+ bietet zudem neue, nach außen gerichtete Schutzmaßnahmen, die sicherstellen, dass einzelne Dokumente oder Daten nicht nach außen dringen können. Bestimmte Dokumentarten wie beispielsweise PDFs, die sensible interne Informationen enthalten, können abgefangen werden, bevor sie den inneren, durch die gateprotect Next-Generation-Lösung errichteten Firewall- Ring verlassen können. Da gateprotect alle Firewalls in Deutschland entwickelt und herstellt und die weithin anerkannten Sicherheitsprinzipien der deutschen TeleTrusT einhält, hat die Next-Generation- Firewall Network Protector+ garantiert keine Hintertüren für unbekannte Außenstehende. Die Stadtwerke Baden-Baden führten mit dem Network Protector+, der Next-Generation-Firewall von gateprotect, in dieser Konfiguration einen Live-Test durch und fuhren danach direkt mit dem Erwerb und der kommerziellen Installation der Second-Line-Lösung fort. gateprotect ist das erste und, soweit wir wissen, einzige Unternehmen mit einem Fokus auf die Bedürfnisse des deutschen Energiesektors und es ist mit Sicherheit der einzige deutsche Anbieter dieser Lösungen, fügt Daniel Müller von den Stadtwerken Baden-Baden an. Dies bedeutet, dass gateprotect zum einen die technische Notwendigkeit vollkommen versteht, IEC Protokolle, die in unserer Branche verwendet werden, zu unterstützen. Zum anderen und dies ist besonders wichtig kennen sie sich mit den Anforderungen an den Schutz kritischer Infrastrukturen, die die Bundesnetzagentur als unsere Aufsichtsbehörde vorgibt, bestens aus. Auch die neuen Regelungen, des IT-Sicherheitsgesetzes sind schon berücksichtigt. Wir haben nun eine ideale Lösung gefunden und gehen davon aus, dass wir mit der gateprotect-lösung die vollständige ISO-Zertifizierung erreichen werden. Rohde & Schwarz Cybersecurity IT-Sicherheit für Energie-Infrastrukturen 5

6 Ein Gefühl von Sicherheit: Das IT-Schutzkonzept von gateprotect Um die interne und externe Angriffsfläche zu verkleinern, sollten nur diejenigen Verbindungspunkte am Perimeter an die Standorte und Dienste freigegeben werden, die in Bezug auf gesetzliche und interne Sicherheitspolitik sowie Risikoprofile als valide eingestuft sind. Daher müssen zum Beispiel Anschlusspunkte zwischen Prozessnetzwerken, verteilten Endpunkten und internen Netzwerken eingeschränkt werden. Zielgerichtete Bedrohungen innerhalb bestehender Kommunikationsprozesse sind zu stoppen, damit sie nicht die Empfänger oder Systeme erreichen. Wenn Sie mehr über die einzigartigen Lösungen von gateprotect für den Schutz kritischer Infrastrukturen wissen möchten, besuchen Sie Nur mit Hilfe eines ganzheitlichen Ansatzes lassen sich interne Sicherheitsrichtlinien, Systeme, Prozesse und Vorgehensweisen verbinden, um einen bestmöglichen Schutz von kritischen Infrastrukturen zu erreichen. Und damit dürften auch deren Betreiber optimal für das neue IT-Sicherheitsgesetz gerüstet sein. Christoph Becker, CTO von gateprotect 6

7 Rohde & Schwarz gateprotect Network Protector+ Next-Generation-Firewall für maximalen Schutz Kritischer Infrastrukturen und komplexer Netzwerke Die Rohde & Schwarz gateprotect Next-Generation-Firewalls NP+ bieten mit einer Kombination aus portunabhängiger Applikationsidentifikation, Traffic-Management, Antivirus und Malwarefilter sowie Intrusion-Prevention- System und Webfilter perfekten Schutz vor aktuellen Cyberbedrohungen. Eine in Deutschland entwickelte, hoch parallelisierte Single-Pass-Engine erlaubt mehrere simultane Operationen auf dem Datenverkehr, die den Inhalt jeder einzelnen Datenübertragung detailliert durchleuchten. Diese Single-Pass-Engine nutzt eine Signaturdatenbank für Hunderte von Applikationen, Tausende von Bedrohungen und Millionen von Web-Adressen für einen maximalen Schutz des Unternehmensnetzes, ohne dabei den Firewall-Durchsatz und damit wichtige Geschäftsprozesse zu beeinträchtigen. Die innovative WebGUI stellt alle Schutzbereiche im Unternehmen übersichtlich graphisch dar und ist per Browser von jedem Device aus komfortabel zu bedienen. Für ihre Nutzerfreundlichkeit wurde die NP+ Lösung mehrfach international ausgezeichnet! Rohde & Schwarz gateprotect NP+ Appliances werden in Deutschland entwickelt und programmiert. Die Sicherheitslösungen bieten zukunftssicheren Schutz für Unternehmensnetzwerke garantiert ohne Backdoors. Next-Generation-Firewall NP+ auf einen Blick IT-Sicherheit made in Germany : Beste Performance und Stabilität für komplexe IT-Netzwerke größerer Unternehmen. Verlässlicher Schutz für IT-Netzwerke auch von Betreibern Kritischer Infrastrukturen durch Dekodierung domänenspezifischer Protokolle wie SCADA und IEC 104. Modernste Sicherheitsfunktionen zum verlässlichen Schutz von Netzwerk und Daten vor Spam, Viren und Malware u.a. mit portunabhängiger Anwendungserkennung und Single-Pass-Technik aus Deutschland Mehrfach ausgezeichnete easy-to-use -Bedieneroberfläche: Firewall-Administration per WebGUI im Browser möglich WebGUI Rohde & Schwarz Cybersecurity IT-Sicherheit für Energie-Infrastrukturen 7

8 Rohde & Schwarz Der Elektronikkonzern Rohde & Schwarz bietet innovative Lösungen auf den Arbeitsgebieten Messtechnik, Rundfunk- und Medientechnik, Cyber-Sicherheit, Sichere Kommunikation sowie Funküberwachungs- und Funkortungstechnik. Vor mehr als 80 Jahren gegründet, ist das selbstständige Unternehmen in über 70 Ländern mit einem engmaschigen Vertriebs- und Servicenetz präsent. Der Firmensitz ist in Deutschland (München). Die gateprotect GmbH ist Teil der Cybersecurity-Gruppe von Rohde & Schwarz und ein führender Anbieter innovativer, hochentwickelter Next-Generation- und UTM-Firewalls. Die in Deutschland entwickelten Sicherheitslösungen sind dank WebGUI-Technologie von jedem Gerät aus leicht zu bedienen und effektiv zu verwalten. gateprotect-lösungen tragen das Siegel IT Security Made in Germany. gateprotect GmbH Valentinskamp 24 D Hamburg Sales-Telefon Fax Rohde & Schwarz Cybersecurity GmbH R&S ist eingetragenes Warenzeichen der Rohde & Schwarz GmbH & Co. KG Gedruckt in Deutschland Eigennamen sind Warenzeichen der jeweiligen Eigentümer Version Januar 2016 Rohde & Schwarz gateprotect Änderungen vorbehalten Daten ohne Genauigkeitsangabe sind unverbindlich 2016 Rohde & Schwarz GmbH & Co. KG München, Germany